Gerador de código 2FA ao vivo

A 2FA vem da conta que você quer proteger: abra as suas configurações, procure a seção “Segurança” ou “Login e segurança” e localize “Autenticação de dois fatores” ou “Verificação em duas etapas”. Escolha a opção de aplicativo autenticador, escaneie o QR Code — ou clique em “não consegue escanear?” para revelar a chave de configuração (uma string Base32 ou um URI otpauth://) — e cole-a no gerador no topo desta página. Digite o código ao vivo para confirmar a configuração e depois guarde os códigos de recuperação que o serviço mostrar.

Quatro passos, cerca de dois minutos: 1) Abra as configurações da conta ou de segurança e escolha “Autenticação de dois fatores”. 2) Selecione “Usar um aplicativo autenticador” (evite SMS quando houver alternativa melhor). 3) Escaneie o QR Code com o seu autenticador — ou revele e guarde a chave de configuração. 4) Digite o código ao vivo para concluir e salve ou imprima os códigos de backup. Publicamos guias por serviço para Google, GitHub, Discord, Binance e outros.

Depois da senha, o serviço pede uma segunda prova de identidade. Com o método TOTP padrão (RFC 6238), o seu autenticador calcula um código de 6 dígitos a partir de um segredo compartilhado e do horário atual, enquanto o servidor executa o cálculo idêntico e compara os dois resultados. O código é derivado a cada 30 segundos e se torna inútil após expirar — assim, uma senha vazada, sozinha, já não abre a sua conta.

Ela protege qualquer login que alguém possa querer invadir: e-mail e suites de nuvem (Google, Microsoft, Apple), contas bancárias e de corretagem, exchanges de criptomoedas (Binance, Coinbase, Kraken), plataformas de desenvolvimento (GitHub, AWS), jogos (Steam, Discord, Twitch) e redes sociais (X, Instagram). Empresas também a usam para VPNs, e-mail e consoles administrativos. Onde quer que um site ofereça a opção “aplicativo autenticador”, esse é o caminho da 2FA.

Não — nenhum controle de segurança é, e guias honestos admitem isso. A 2FA elimina ataques com senha roubada, mas um código recém-gerado digitado em um site falso dentro da sua vida útil de 30 segundos ainda pode ser capturado por phishing, malware já presente no seu dispositivo pode sequestrar a própria sessão e códigos por SMS podem cair em ataques de troca de SIM. Mesmo com essas ressalvas, uma conta com 2FA é muito mais difícil de invadir do que uma sem.

Nenhum governo a torna obrigatória, mas cada vez mais plataformas sim: o GitHub exige de todo colaborador de código desde 2023, bancos e exchanges de criptomoedas forçam a ativação e empregadores costumam exigi-la em logins corporativos. Nos demais casos, é opcional, mas fortemente recomendada. Trate-a como obrigatória, ainda assim, para a sua conta mais valiosa — o e-mail — porque quem controla a sua caixa de entrada pode redefinir tudo o mais.

Porque as senhas continuam falhando sempre da mesma forma. Bilhões de senhas reais já são públicas por causa de vazamentos, e atacantes as reaproveitam em todos os outros sites, dia e noite (credential stuffing). A Microsoft informa que a 2FA bloqueia mais de 99,9% dos ataques automatizados de tomada de conta — é a melhoria mais barata que protege o seu e-mail, banco, jogos e cripto contra as ameaças que realmente acontecem.

Depende inteiramente do segundo fator. Códigos por SMS são os mais fracos, pois a troca de SIM permite a um atacante roubar o seu número e recebê-los. Códigos de autenticadores TOTP — os de 30 segundos — são computacionalmente fortes: nada é transmitido, um atacante offline não consegue derivá-los e cada um expira em segundos. Chaves de segurança físicas e passkeys são as mais fortes de todas, porque resistem a phishing e são vinculadas criptograficamente ao domínio verdadeiro.

Porque a era da senha pura desmoronou. Vazamentos em escala industrial expuseram bilhões de credenciais, o credential stuffing automatizado tornou o sequestro de contas quase gratuito e as plataformas cansaram de pagar a conta. Os reguladores entraram em cena — o NIST descartou a autenticação por SMS nas normas dos EUA, e a PSD2 da UE exige autenticação forte do cliente. Depois que alguns gigantes normalizaram a 2FA, todos os demais serviços seguiram o exemplo.

Não. Esta é uma ferramenta 2FA baseada no navegador: roda em qualquer notebook, tablet ou desktop com um navegador moderno, online ou totalmente offline depois de instalada como aplicativo. Ela substitui o aplicativo do telefone quando este é perdido, vendido, quebrado, fica sem bateria — ou simplesmente não é permitido onde você trabalha.

Sim. Todo cálculo acontece localmente no seu navegador com a Web Crypto API. As suas chaves secretas nunca são enviadas a — nem vistas por — qualquer servidor. Você pode carregar a página, desconectar da internet e o gerador continua funcionando.

Perfeitamente. Instale o 2FA COUNTER como aplicativo (Adicionar à tela inicial / Instalar) e ele funciona totalmente offline, como um autenticador nativo. Os códigos são derivados da sua chave e do relógio do seu dispositivo — sem precisar de rede.

Quase sempre é o relógio. Os códigos TOTP são baseados em tempo, então se o relógio do dispositivo estiver atrasado ou adiantado até mesmo meio minuto, o código não é válido. Verifique se a hora do sistema está configurada para sincronizar automaticamente (por exemplo, “Sincronizar agora” nas configurações de data e hora do Windows, ou “Definir automaticamente” no macOS) e tente novamente. O gerador calcula com o tempo que o dispositivo informa — ele não tem relógio próprio para corrigir.

São aplicativos para o telefone; este é um autenticador no navegador. Ele usa exatamente o mesmo algoritmo TOTP da RFC 6238 e funciona com todo serviço que aceita um aplicativo autenticador padrão — mas você nunca perde o acesso porque um telefone quebrou, foi vendido ou ficou sem bateria. É a alternativa ao Google Authenticator para quem vive no desktop.

Somente no seu próprio navegador. A última chave e uma curta lista de “chaves recentes” (até 8) ficam no armazenamento local deste dispositivo, para que o gerador sobreviva a uma atualização da página e você possa alternar entre as chaves com um clique — nunca em nossos servidores, até porque não existe nenhum. As chaves são guardadas como texto puro, então quem conseguir abrir este perfil do navegador pode lê-las — trate o perfil como o cofre de um gerenciador de senhas. O botão “Limpar tudo” acima da lista (pede confirmação), limpar o campo ou apagar os dados do navegador as remove de vez; mantenha o segredo original no gerenciador de senhas como cópia mestre.

Sim. Cole o URI otpauth:// completo que o seu serviço fornece e cada parâmetro que ele trouxer é respeitado automaticamente — 6, 7 ou 8 dígitos, períodos de 15/30/60 s, hash SHA-1/SHA-256/SHA-512 e HOTP baseado em contador. Uma chave Base32 pura usa os padrões da norma (6 dígitos, 30 s, SHA-1), que é o que quase todos os serviços utilizam.

Sim — sem contas, sem plano premium, sem login. É uma ferramenta, não um serviço.